RT Squads: Untersuchung zum Vorfall bei @DriftProtocol läuft weiter – erste Hinweise deuten auf zwei kompromittierte Signer im Admin-Multisig hin

RT Squads Unsere Untersuchung zum Vorfall bei @DriftProtocol dauert an. Nach derzeitigem Stand deuten frühe Hinweise darauf hin, dass zwei Signer von Drifts Admin-Multisig kompromittiert wurden. Über diese Signer wurde eine Transaktion ausgeführt, die die Programmkonfiguration von Drift verändert hat. Die Squads-Programme wurden nicht kompromittiert. Zudem liegen uns bislang keine Hinweise auf eine Kompromittierung der Squads-Infrastruktur vor; wir prüfen dies weiter, um mit voller Sicherheit bestätigen zu können. Weitere Ergebnisse teilen wir, sobald sie vorliegen. Best Practices für operativ kritische Multisigs 1) Schwellenwerte (Thresholds) Jedes Multisig, das operative oder administrative Kontrolle über ein Programm hat, sollte einen Signatur-Threshold von 3 oder höher nutzen. Dadurch müssten Angreifer mehrere unabhängige Signer gleichzeitig kompromittieren – die Hürde für diese Angriffsklasse steigt deutlich. Wo möglich, sollten Signer zudem geografisch und organisatorisch getrennt sein. Signer mit demselben Standort, denselben Geräten oder derselben Organisationsstruktur erhöhen korrelierte Risiken. 2) Timelocks Multisigs mit Kontrolle auf Programmebene sollten einen Timelock aktivieren (einrichtbar in den Settings Ihres Squads-Multisigs). Ein Timelock verhindert nicht, dass eine bösartige Transaktion vorgeschlagen wird, schafft aber ein Zeitfenster, um sie zu erkennen und vor der Ausführung zu stoppen. Abwägung: Timelocks verlangsamen auch legitime Notfallmaßnahmen bei Bugs oder aktiven Exploits. Teams sollten das in ihrer operativen Ausgestaltung berücksichtigen. 3) Alerts & Monitoring Wir empfehlen allen operativ kritischen Multisigs Monitoring und Alerts über unseren Security-Partner @RangeSecurity. Range bietet zwei zentrale Funktionen: eine alternative Oberfläche zur unabhängigen Prüfung von Transaktionsinhalten außerhalb der Squads-UI sowie proaktive Slack-Alerts, damit Signer benachrichtigt werden, bevor ein Proposal weiter voranschreitet. Wenn Sie Unterstützung beim Setup wünschen, melden Sie sich – wir stellen den direkten Kontakt her. Hoher Threshold, Timelock und Monitoring bilden die Basis für jedes Multisig mit Kontrolle auf Programmebene. Signing-Prozess Signer sollten dedizierte Geräte und Hardware-Wallets verwenden, niemals eine allgemeine Arbeitsmaschine. Zusätzlich sind Signaturen nur rund 2 Minuten gültig. Planen Sie daher mindestens 2 Minuten Verzögerung zwischen den Aktionen der einzelnen Signer ein, damit Signaturen nicht von Angreifern eingesammelt und gebündelt werden können. Transaktionsinhalte sollten stets unabhängig über alle drei verfügbaren Quellen verifiziert werden: die Squads-UI, Ranges alternative Oberfläche sowie Solana Explorer oder Solscan. Zu Durable Nonces Der Drift-Angriff nutzte Durable Nonces, um Signaturen ohne Zeitdruck zu sammeln und so die 2-Minuten-Transaktionsablauffrist zu umgehen, die solche Angriffe sonst begrenzen würde. Wir prüfen aktiv Möglichkeiten, die Nutzung von Durable Nonces in all unseren Programmen zu blockieren – sowohl auf Programmebene als auch über weitere Durchsetzungsmechanismen. Ziel ist, dass dieser Schutz auch für unsere unveränderlichen Programme V3, V4 sowie unser aktuelles Smart Account Program gilt. Darüber hinaus arbeitet das Solana-Ökosystem an Maßnahmen auf Protokollebene: Ein neues Transaktionsformat soll Durable Nonces als Feature vollständig entfernen. Dazu liefern wir in Kürze weitere Informationen. Über Multisig hinaus: Operative Sicherheit (OpSec) Technische Kontrollen reichen nur begrenzt. Viele der jüngsten, öffentlichkeitswirksamen Kompromittierungen basierten auf Social-Engineering-Angriffen gegen die Personen hinter den Schlüsseln, nicht auf Schwächen in den Contracts. Wer geschäftskritische Protokoll-Operationen verantwortet, sollte in interne OpSec-Prozesse und eine passende Teamkultur investieren. Wie Proposals angestoßen, kommuniziert und freigegeben werden, ist entscheidend. Wir empfehlen die Einbindung spezialisierter Security-Advisors. @zeroshadow_io und @0xGroomLake sind bewährte Anlaufstellen; auf Wunsch stellen wir gern den direkten Kontakt her.